Política de Segurança da Informação

1. Escopo e responsabilidade

Esta política cobre o serviço FabrilOps (fabrilops.com.br), os dados das confecções que o usam (organizações), os dados dos compradores importados dos marketplaces em nome dessas confecções e as credenciais das integrações. O responsável pela segurança da informação e o encarregado pelo tratamento de dados pessoais (LGPD, art. 41) é o fundador, contato contato@fabrilops.com.br.

2. Controle de acesso e privilégio mínimo

• Isolamento por organização. Toda tabela de negócio carrega o identificador da organização; cada leitura e escrita filtra por ele na aplicação, e o banco de dados aplica políticas de segurança em nível de linha (RLS) como segunda barreira. Um teste automatizado tenta ler e escrever dados de outra organização e falha o build se conseguir.
• Papéis e permissões. Cada membro tem um papel (administrador, produção, estoque, vendas, expedição, entre outros) e cada ação de escrita é verificada contra uma matriz de permissões central. Leituras ficam restritas aos membros da organização.
• Infraestrutura. As contas dos provedores (hospedagem, banco de dados, código-fonte, e-mail) são de uso individual, com senha forte e autenticação em dois fatores. Segredos vivem em variáveis de ambiente do provedor e nunca no repositório.
• Chaves de API de parceiros. São geradas por organização, exibidas uma única vez, armazenadas como hash e podem ser revogadas a qualquer momento.

3. Classificação de dados e criptografia

Os dados são tratados em três classes:

• Credenciais e segredos (tokens de acesso dos marketplaces, chaves de API): cifrados em repouso com AES-256-GCM antes de gravados no banco; a chave de cifra fica fora do banco. Nunca são devolvidos pela API nem exibidos na interface.
• Dados pessoais (nome, endereço, telefone e e-mail de compradores e de membros das organizações): acessíveis apenas à organização dona, pelos papéis autorizados, e usados somente para separação, expedição e atendimento do pedido.
• Dados operacionais (produtos, estoque, ordens de produção): isolados por organização.

Todo o tráfego usa HTTPS/TLS, com HSTS e cabeçalhos de segurança aplicados em todas as respostas. O banco de dados gerenciado cifra os dados em repouso e os backups.

4. Infraestrutura e localização dos dados

• Banco de dados: PostgreSQL gerenciado (Supabase), região São Paulo, Brasil.
• Aplicação: funções serverless na Vercel, executadas na região São Paulo, Brasil. Não há servidores persistentes administrados pela FabrilOps; a segregação de rede é a do provedor gerenciado, e cada execução é isolada.
• Serviços auxiliares: monitoramento de erros (Sentry, EUA), proxy de IP fixo para as APIs de marketplace (Fixie, EUA), envio de e-mail transacional (Resend), cobrança da assinatura (Stripe, EUA), assistente de IA (OpenAI, EUA) — este último recebe apenas o contexto necessário à pergunta, nunca credenciais.
• Cópia de segurança: além do backup do provedor do banco, uma cópia diária é cifrada (AES-256) antes de ser armazenada, guardada por 30 dias (GitHub, EUA) e testada por restauração a cada execução.
• Estações de trabalho: antivírus ativo, bloqueio de tela, senha forte e autenticação em dois fatores nas contas usadas para operar o serviço.

5. Gestão de vulnerabilidades

• Dependências auditadas a cada rodada de manutenção (npm audit); correções sem quebra são aplicadas de imediato e as demais entram em plano com prazo.
• Suíte automatizada executada a cada mudança: isolamento entre organizações, cobertura de RLS em todas as tabelas, permissões por papel, limitação de taxa em login, cadastro, recuperação de senha e API de parceiros.
• Cabeçalhos de segurança (CSP, HSTS, X-Frame-Options, Referrer-Policy) aplicados em todas as respostas; a CSP é monitorada por relatórios antes de ser endurecida.
• Testes de segurança ao vivo em produção registrados com achados, severidade e correção.

6. Resposta a incidentes e notificação de violações

• Detecção: erros e comportamentos anômalos em produção chegam ao monitoramento (Sentry) e aos registros dos provedores; qualquer pessoa pode reportar um incidente em contato@fabrilops.com.br.
• Responsável: o encarregado coordena a resposta, decide contenção (revogação de credenciais, bloqueio de acesso, rotação de segredos) e mantém o registro do incidente.
• Notificação: em caso de violação que afete dados pessoais, as organizações afetadas, os parceiros de marketplace envolvidos (por exemplo, TikTok Shop, Shopee, Mercado Livre) e, quando exigido pela LGPD (art. 48), a Autoridade Nacional de Proteção de Dados são comunicados por e-mail em até 72 horas após a confirmação, com a natureza dos dados, os titulares afetados, as medidas tomadas e os riscos.
• Pós-incidente: causa-raiz registrada e correção incorporada ao código ou a esta política.

7. Proteção de dados pessoais

• Dados pessoais de compradores são tratados em nome da confecção (controladora) para execução do pedido, e nunca usados para outra finalidade nem vendidos.
• Titulares e parceiros podem pedir acesso, correção, exportação ou exclusão de dados ao encarregado; o pedido é atendido em até 15 dias.
• Ao fim do contrato ou a pedido, a organização é excluída com todos os dados vinculados, em cascata, incluindo credenciais de integração.
• A Política de Privacidade descreve as bases legais e os direitos dos titulares e é revisada junto com esta política.

8. Certificações

A FabrilOps não possui, hoje, certificação ISO 27001, ISO 27701 ou SOC 2. Os provedores usados (Supabase, Vercel, Sentry, Fixie) mantêm as próprias certificações públicas.

Summary in English

FabrilOps is a multi-tenant SaaS for Brazilian clothing manufacturers. Every business table is scoped by organization in application code and enforced by PostgreSQL row-level security, verified by automated cross-tenant tests. Role-based access control gates every write; provider accounts use strong passwords and two-factor authentication. Integration credentials are encrypted at rest with AES-256-GCM; all traffic is HTTPS with security headers. Data is stored in Brazil (managed PostgreSQL, São Paulo) and processed by serverless functions in the same region; auxiliary services (error monitoring, fixed-IP proxy, e-mail, billing, AI assistant, encrypted daily backups) run in the United States. Dependencies are audited, an automated security test suite runs on every change, and incidents are handled by the designated data protection officer (contato@fabrilops.com.br), who notifies affected organizations, marketplace partners and, when required by the LGPD, the Brazilian data protection authority within 72 hours of confirmation. Personal data is deleted at the end of the contract or on request. Last reviewed on September 30, 2026.